Назначение документа и область действия
Первый раздел отвечает на вопрос, зачем нужна политика и на кого она распространяется. Допустим, на предприятии в Мозыре ИИ-помощником пользуются бухгалтерия, склад и отдел продаж. Тогда политика охватывает всех сотрудников, которые работают с агентом, и все системы, к которым он подключён: почту, 1С, таблицы.
Допустимое использование: что можно и чего нельзя
Здесь перечисляют задачи, ради которых ИИ применяется в компании, и запреты. Формулировки должны быть понятны без юридического образования, иначе их никто не прочтёт до конца.
- разрешено: подготовка черновиков, сводок, таблиц и ответов по шаблонам;
- разрешено: поиск информации в документах компании и подготовка вопросов к проверке;
- запрещено: передача внешним сервисам договоров, паролей и сведений о сотрудниках без согласования;
- запрещено: отправка писем наружу и изменение договоров без подтверждения сотрудника;
- запрещено: использование личных учётных записей нейросетей для рабочих задач.
Классы данных и правила обращения с ними
Это самое важное понятие документа. Данные делят на группы по степени чувствительности и для каждой устанавливают правила. Открытые сведения, например прайс или описание услуг, можно обрабатывать любой нейросетью. Внутренние данные, такие как переписка и отчёты, допустимо обрабатывать только в согласованных системах. К закрытым относят персональные данные, коммерческие тайны и финансовую отчётность: для них компания может выбрать особый режим, например обработку только на собственном сервере или отказ от обработки нейросетью.
Для персональных данных ориентиром служит Закон Республики Беларусь № 99-З. Он помогает выстроить обработку, а конкретные требования уточняют у юриста, так как нормы могут меняться. Внутренние правила компании могут быть строже закона: это её собственное решение, и подавать его как требование закона не нужно.
Роли и ответственность
| Роль | За что отвечает | Что решает |
|---|---|---|
| Владелец политики | Актуальность документа | Когда и как пересматривать правила |
| Владелец агента | Правила и права конкретного агента | Что агенту разрешено, что нет |
| Сотрудник | Проверка результата работы агента | Подтверждать действие или отклонить |
| Юрист или специалист по защите информации | Соответствие обработки данных требованиям | Допустим ли новый сценарий |
Подтверждение действий и проверка результата
Раздел фиксирует главный принцип: решение за человеком. Простые действия агент выполняет сам, а важные, такие как отправка письма или изменение договора, только после подтверждения сотрудника; решения о платежах остаются за людьми. В политике стоит перечислить, какие именно действия считаются важными, чтобы граница не определялась на глаз.
Политика остаётся короткой, если подробности вынесены в приложения: перечень систем, к которым подключён агент, таблица классов данных и форма журнала инцидентов. В основном тексте остаются принципы, которые сотрудник способен запомнить и применить без справочника.
Инциденты, обучение и пересмотр
Последний блок описывает, что делать, если агент ошибся или данные ушли не туда: кому сообщить, как остановить работу, как зафиксировать причины. Здесь же определяют, как обучают новых сотрудников и как часто пересматривают правила. При подготовке политики опирайтесь на опыт своей компании и на консультацию юриста, а не на чужие шаблоны.
Coagent ставится на сервер компании, а роль, правила и доступы агента задаются обычными словами, поэтому положения политики можно отразить в правилах агента: что разрешено и что требует подтверждения. Текст политики сам по себе не ограничивает агента технически: доступы настраиваются отдельно вместе с клиентом, а соблюдение правил проверяют люди. Нейросеть выбирается под агента, и класс данных помогает решить, какая модель подходит для задачи.
Начните с одной страницы: разрешённые задачи, классы данных и список действий, требующих подтверждения.